Des cyberattaques sophistiquées ciblent des organisations, en particulier dans le secteur informatique russe, depuis le second semestre 2024. Les attaquants emploient des techniques d'évasion avancées, exploitant des plateformes en ligne populaires comme GitHub, Quora et les réseaux sociaux pour livrer leur charge utile malveillante, déployant finalement le Cobalt Strike Beacon.
Une infiltration furtive
La campagne, la plus active entre novembre 2024 et avril 2025, a débuté par des e-mails de spear-phishing très convaincants. Ces e-mails imitaient des communications de grandes entreprises publiques, souvent du secteur pétrolier et gazier, pour inciter les destinataires à ouvrir des pièces jointes malveillantes. Ces pièces jointes étaient généralement des archives RAR contenant une structure trompeuse : un fichier .lnk malveillant, des documents PDF leurres et un répertoire caché avec des exécutables déguisés en PDF.
Beispiel einer Spear-Phishing-E-Mail
Lors de l'exécution du fichier .lnk, le logiciel malveillant copiait et renommait ces fichiers dans l'environnement de l'utilisateur, préparant le terrain pour une compromission ultérieure. Une technique clé employée était le détournement de DLL (DLL hijacking), exploitant l'utilitaire légitime de rapport d'erreur BugSplat (BsSndRpt.exe). Les attaquants ont renommé cet utilitaire et l'ont associé à une DLL malveillante, forçant l'utilitaire à charger le code malveillant au lieu de son homologue authentique.
Schéma d'exécution du raccourci « Requirements.lnk »
Profils malveillants sur diverses ressources populaires
Exploiter des plateformes légitimes à des fins malveillantes
Pour échapper davantage à la détection, la DLL malveillante utilisait la résolution dynamique d'API et des hachages chiffrés XOR, rendant l'analyse statique difficile. Elle interceptait également les fonctions de l'API Windows, redirigeant les appels vers des fonctions personnalisées au sein de la bibliothèque malveillante. Ces fonctions récupéraient ensuite du shellcode à partir de sources web, intégrant spécifiquement des informations de commande et contrôle (C2) et des URL de charge utile dans le contenu HTML trouvé dans les profils d'utilisateurs sur des plateformes comme Microsoft Tech Community, Quora, GitHub et les réseaux sociaux russes.
Profils malveillants sur diverses ressources populaires
Cette méthode de dissimulation de données malveillantes au sein de contenu légitime généré par les utilisateurs a permis aux attaquants de créer une chaîne d'exécution complexe et résiliente. Le shellcode, un chargeur réflexif, a été conçu pour injecter Cobalt Strike Beacon directement dans la mémoire du processus, établissant une communication avec les serveurs C2. Bien que les comptes identifiés aient été spécialement créés pour l'attaque, les techniques pourraient facilement être adaptées pour compromettre des publications ou des commentaires d'utilisateurs légitimes.
Points clés à retenir
-
Les acteurs de la menace utilisent de plus en plus de méthodes sophistiquées pour dissimuler des outils bien connus comme Cobalt Strike.
-
Des plateformes en ligne légitimes sont utilisées abusivement pour héberger des infrastructures de commande et contrôle et livrer des charges utiles malveillantes.
-
Le détournement de DLL et la résolution dynamique d'API sont des techniques d'évasion courantes.
-
Les e-mails de spear-phishing restent un vecteur d'accès initial principal.
La campagne, bien que ciblant principalement les entreprises informatiques russes, a également été observée en Chine, au Japon, en Malaisie et au Pérou. Il est conseillé aux organisations de maintenir une surveillance vigilante, de renforcer la formation de sensibilisation à la cybersécurité pour le personnel et de déployer des solutions de sécurité robustes pour détecter et bloquer de telles menaces avancées. Les indicateurs de compromission incluent la présence de fichiers BugSplatRc64.dll non signés ou l'utilitaire BugSplat apparaissant avec des noms de fichiers non standard.
Sources
-
Des attaques ciblées exploitent des comptes sur des plateformes en ligne populaires comme serveurs C2, Securelist.
-
Les hackers utilisent GitHub et les réseaux sociaux pour livrer Cobalt Strike Beacon, Cyber Press.
-
Les hackers déploient Cobalt Strike Beacon en utilisant GitHub et les réseaux sociaux, GBHackers News.
Cet article a été créé avec le soutien d'une technologie alimentée par l'IA, en s'appuyant sur plusieurs sources réputées. Le contenu final a été soigneusement examiné et édité par l'équipe éditoriale de BlockzHub afin de garantir précision, clarté et cohérence. Les sources d'information originales sont créditées lorsque cela est approprié et requis. Les opinions exprimées dans cet article ne reflètent pas nécessairement les points de vue ou les positions officielles de BlockzHub. Cet article est uniquement destiné à des fins informatives et ne doit pas être considéré comme un conseil financier ou professionnel. Investir comporte des risques, et il est recommandé de consulter un conseiller financier qualifié avant de prendre toute décision d’investissement.